JawabanDipublikasikan21 sumber
Serangan Rantai Pasok AOMEI Backupper: Apa yang Terjadi?
Penyerang menyusupi sistem pembaruan AOMEI Backupper pada April–Juli 2026 untuk mengirim malware, termasuk pengunduh CROSSROAD dan backdoor SHINYROAD. ManageEngine mendeteksi aktivitas mencurigakan pada 28 Mei dan memperingatkan AOMEI pada Juni.
Diterbitkan olehDiedit dengan GPT-6 LunaGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Penyerang menyusupi sistem pembaruan AOMEI Backupper pada April–Juli 2026 untuk mengirim malware, termasuk pengunduh CROSSROAD dan backdoor SHINYROAD.
- ManageEngine mendeteksi aktivitas mencurigakan pada 28 Mei dan memperingatkan AOMEI pada Juni.
- Pemulihan berkas di server AOMEI tidak membuktikan bahwa komputer pengguna sudah bersih.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the April–July supply-chain malware campaign against Hong Kong-registered AOMEI’s Windows backup tool, Backupper, includ. Article summary: The available evidence supports an April–July 2026 supply-chain campaign in which attackers briefly altered AOMEI Backupper’s update infrastructure to deliver malware, including the SHINYROAD backdoor.[2][3][5] The confi. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Penyerang sempat mengubah sistem pembaruan AOMEI Backupper dalam kampanye yang berlangsung pada April hingga Juli 2026. Melalui celah singkat itu, mereka mengirim malware, termasuk backdoor SHINYROAD. Peneliti mengonfirmasi tiga kejadian yang masing-masing berlangsung selama sepuluh, enam, dan lima menit. Namun, mereka memperingatkan bahwa kejadian lain mungkin luput terpantau.17
35
11
Server pembaruan yang kini tampak normal belum tentu berarti komputer pengguna bebas dari malware. Jika malware sudah terpasang, pemulihan berkas di server tidak otomatis menghapusnya dari perangkat.5
9
Bagaimana serangan ini terungkap
Perangkat lunak keamanan endpoint ManageEngine pertama kali mendeteksi aktivitas mencurigakan pada 28 Mei. Saat itu, Backupper memasang Radmin—perangkat lunak administrasi jarak jauh yang sah—di komputer milik dua pelanggan yang tidak saling terkait dan berada di negara berbeda. ManageEngine mengatakan telah memperingatkan AOMEI pada Juni.16
17
Google Threat Intelligence Group dan Mandiant kemudian menyelidiki aktivitas tersebut bersama ManageEngine. Mereka melacak para penyerang dengan nama UNC7017; laporan yang tersedia tidak mengaitkan kelompok ini dengan negara tertentu.16
17
40
Pada 20 Oktober, The Record melaporkan bahwa AOMEI mengatakan pihaknya belum mengidentifikasi ataupun memberi tahu pelanggan yang terinfeksi dalam serangan tersebut.16
Cara penyerang menyusup lewat sistem pembaruan
Peneliti melaporkan bahwa penyerang mengubah dua berkas konfigurasi di sisi server, down_html.ini dan Notifycfg.ini. Keduanya digunakan dalam proses pembaruan dan notifikasi Backupper. Jika aplikasi menghubungi server saat berkas itu sedang diubah, konfigurasi tersebut dapat mengarahkannya ke konten berbahaya.17
7
Tiga jendela perubahan yang terkonfirmasi terjadi pada 28 Mei, 16 Juli, dan 20 Juli. Masing-masing berlangsung selama sepuluh, enam, dan lima menit. Setelah itu, penyerang mengembalikan berkas ke versi yang sah. Namun, menurut peneliti, bisa saja ada kejadian lain yang tidak mereka amati. Karena itu, ketiga tanggal tersebut belum tentu mencakup seluruh waktu paparan.35
11
Rangkaian malware ini mencakup CROSSROAD, sebuah pengunduh yang membuka paket muatan dan membuat tugas terjadwal untuk berjalan setiap tiga jam. Selanjutnya, program Radmin bertanda tangan digital yang sah memuat DLL berbahaya melalui teknik DLL side-loading. DLL tersebut kemudian menjalankan SHINYROAD, backdoor yang dapat membuka shell jarak jauh dan mengeksekusi perintah.35
33
Dampak yang diketahui dan hal yang belum pasti
Laporan menyebut organisasi terdampak di sektor layanan TI, telekomunikasi, dan pendidikan tinggi, yang tersebar di lebih dari sepuluh negara.40 Namun, bukti yang tersedia belum memastikan jumlah keseluruhan perangkat atau organisasi yang terinfeksi. Jendela pengiriman yang sangat singkat serta kemungkinan adanya kejadian yang luput terdeteksi membuat tiga tanggal terkonfirmasi itu tidak cukup untuk menghitung seluruh paparan.
11
16
CROSSROAD juga memeriksa lingkungan eksekusi dan lokasi perangkat. Laporan menyebut malware itu tidak melanjutkan jalur muatan utamanya pada sistem yang terdeteksi berada di China.1
9 Informasi yang tersedia belum cukup untuk memastikan seluruh pengecualian lain ataupun menganggap perilaku lain yang dikabarkan sebagai fakta terkonfirmasi.
Yang perlu dilakukan pengguna Backupper
Organisasi yang menggunakan Backupper pada April–Juli 2026 sebaiknya memeriksa komputer terkait untuk seluruh periode tersebut, bukan hanya berfokus pada tiga tanggal yang sudah dikonfirmasi. Kampanye ini berlangsung dalam rentang yang lebih panjang, dan peneliti menduga ada jendela perubahan lain yang tidak teramati.2
11
Pemeriksaan perlu mencari malware yang mungkin masih aktif maupun mekanisme persistensi di perangkat. Berkas server yang sudah dipulihkan tidak menghapus implan yang telanjur terpasang di komputer.5
9 Hal ini patut menjadi perhatian, terlebih laporan 20 Oktober menyebut AOMEI belum mengidentifikasi atau memberi tahu pelanggan yang terinfeksi.
16
Kasus ini menunjukkan risiko ketika saluran pembaruan perangkat lunak disusupi: aktivitas berbahaya dapat masuk lewat aplikasi yang sudah digunakan dan dipercaya pelanggan. Dalam kampanye ini, peneliti juga melaporkan penggunaan program Radmin bertanda tangan digital yang sah untuk memuat DLL berbahaya.17
33
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Serangan Rantai Pasok AOMEI Backupper: Apa yang Terjadi?"?
Penyerang menyusupi sistem pembaruan AOMEI Backupper pada April–Juli 2026 untuk mengirim malware, termasuk pengunduh CROSSROAD dan backdoor SHINYROAD.
Apa poin penting yang harus divalidasi terlebih dahulu?
Penyerang menyusupi sistem pembaruan AOMEI Backupper pada April–Juli 2026 untuk mengirim malware, termasuk pengunduh CROSSROAD dan backdoor SHINYROAD. ManageEngine mendeteksi aktivitas mencurigakan pada 28 Mei dan memperingatkan AOMEI pada Juni.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Pemulihan berkas di server AOMEI tidak membuktikan bahwa komputer pengguna sudah bersih.